보건복지사이버안전센터 운영규정

제1장 총칙 제1조(목적) 이 규정은 「정보통신기반 보호법」, 사이버안보 업무규정」, 「국가사이버안전관리규정」, 「국가정보보안기본지침」, 「보건복지부 정보보안 기본지침」에 따라 보건복지 분야의 보안관제센터 운영에 관한 사항을 규정함을 목적으로 한다. 제2조(명칭) 보건복지부문 보안관제센터의 명칭은 보건복지사이버안전센터(이하 "센터"라 한다)라 하고, 영문명은 HCSC(Health and welfare Cyber Security Center)라 한다. 제3조(정의) ① 이 규정에서 사용하는 용어의 정의는 다음과 같다. 1. "정보통신기반시설"이라 함은 「정보통신기반 보호법」제2조제1호 따른 전자적제어ㆍ관리시스템 및 정보통신망을 말한다. 2. "정보통신망"이라 함은「전기통신기본법」제2조제2호의 규정에 의한 전기통신설비를 활용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체제를 말한다. 3. "사이버공격"이라 함은 해킹ㆍ컴퓨터바이러스ㆍ논리폭탄ㆍ메일폭탄ㆍ서비스방해 등 전자적 수단에 의하여 정보통신망을 불법 침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 절취ㆍ훼손하는 일체의 공격 행위를 말한다. 4. "사이버안전"이라 함은 사이버공격으로부터 정보통신망 및 정보자산을 보호함으로써 정보통신망과 정보의 기밀성ㆍ무결성ㆍ가용성 등 안전성을 유지하는 상태를 말한다. 5. "보안관제"라 함은 전자문서ㆍ전자기록물 또는 정보통신망을 대상으로 하는 사이버공격을 실시간 탐지ㆍ분석ㆍ대응하는 일련의 활동을 말한다. 6. "관제대상기관"이라 함은 사이버위협 예방 및 대응 서비스 등을 받기 위해 센터에 가입한 기관 및 단체를 말한다. 7. "백업소산"이라 함은 「보건복지부 정보보안 기본지침」 제52조제1항제5호에 따라 소속 및 산하공공기관(이하 "각 기관"이라 한다.)이 보유한 중요 자료를 대상으로 실시한 백업자료에 대해 연 1회 이상 소산 하는 것을 말한다. ② 이 규정에서 사용하는 용어는 제1항에서 정하는 것을 제외하고는 「국가사이버안전관리규정」, 「국가 정보보안 기본지침」, 「보건복지부 정보보안 기본지침」 등 관계 법령이 정하는 바에 따른다. 제4조(적용범위) 이 규정은 센터, 단위보안관제센터(이하 "단위센터"라 한다.), 관제대상기관에 대하여 적용한다. 제2장 센터 제5조(센터장) 센터장은 비상임으로 센터 업무를 총괄하며, 보건복지부 정책기획관이 담당한다. 제6조(운영업무) ① 센터의 운영업무 총괄 책임자는 보건복지부의 정보보호팀장이 된다. ② 센터에서 수행하는 업무는 다음 각호와 같다. 1. 센터 대내외 업무기획ㆍ총괄 가. 사이버안전 관련 규정, 제도 운용 나. 정보통신기반시설 보호 대책에 대한 지도ㆍ감독 다. 관제대상기관 업무 관련 보안 기술개발 지원 라. 정보보호ㆍ사이버안전 관련 교육 및 훈련 마. 국내외 유관기관과 정보교류 및 협력 바. 정보보호ㆍ사이버안전 관련 국내외 회의, 학술행사 등의 개최 및 참여 사. 사이버공격으로 인하여 발생한 사고의 조사 및 복구 조치 총괄 아. 그 밖에 센터장이 필요하다고 인정하여 지정하는 업무 2. 사이버안전서비스 제공 가. 사이버공격 실시간 관제ㆍ분석, 예ㆍ경보 및 기술지원 나. 취약점 및 침해요인에 대한 대응매뉴얼 및 관련 정보 제공 다. 사이버공격으로 인하여 발생한 사고의 조사 및 복구 지원 라. 정보통신기반시설의 취약점 분석ㆍ평가 및 보호 대책 수립 지원 마. 정보보호ㆍ사이버안전 교육 및 훈련 서비스 제공 바. 정보보호ㆍ사이버안전 관련 국내외 기술ㆍ연구 조사 및 각종 간행물 발간 사. 보안관제 관련 정보시스템 임대 및 지원 ③ 보건복지부장관은 사이버공격에 대한 공동 대응 등 센터 업무를 수행하는 데 필요한 때에는 각 기관의 장에게 직원의 파견을 요청할 수 있으며, 요청을 받은 기관의 장은 특별한 경우를 제외하고는 직원을 파견하여야 한다. 제7조(사이버안전시스템 구축ㆍ운영) 센터 및 단위센터는 사이버안전서비스를 제공하기 위한 시스템(이하 "사이버안전시스템"이라 한다.)을 구축ㆍ운영하여야 한다. 제8조(보건복지공동재해복구센터 구축ㆍ운영) ① 센터는 관제대상기관이 보유한 중요 데이터의 재난 및 재해 등을 대비하여 보건복지공동재해복구센터를 구축ㆍ운영한다. ② 국민건강보험공단을 보건복지공동재해복구센터 운영 전담 기관으로 한다. ③ 보건복지공동재해복구센터 구축 및 운영 관련 세부 사항은 별도로 정한다. 제9조(협의회 운영) ① 센터는 정보보안 관련 주요 사안 전파 및 의견 수렴 등을 위하여 관제대상기관, 단위센터가 참여할 수 있는 보건복지사이버안전센터운영협의회(이하"운영협의회"라 한다)를 둘 수 있다. ② 센터장은 사이버안전 확보를 위해 정기 또는 수시로 운영협의회를 개최 할 수 있다. 제3장 단위보안관제센터 제10조(단위보안관제센터 설치ㆍ운영) ① 각 기관의 장은 소관 정보통신기반시설 보호를 위하여 단위센터를 설치ㆍ운영할 수 있다. ② 단위센터를 설치ㆍ운영하고자 하는 각 기관의 장은 단위센터 설치 이전에 다음 각 호의 사항을 보건복지부 장관에게 제출하고 승인을 받아야 한다. 1. 단위센터 운영 규정 2. 단위센터의 설립 목적 3. 단위센터의 수행업무 및 회원기관 현황 4. 단위센터의 전담 조직 및 전문인력 확보방안 5. 단위센터의 운영현황(별지 제5호 서식) 6. 단위센터의 비상 연락망(별지 제6호 서식) ③ 단위보안관제센터장(이하 "단위센터장"이라 한다.)은 기관의 사이버안전 업무를 실질적으로 총괄할 수 있도록 관련 지식 및 소양이 있는 자로서 예산, 인력 등 자원을 할당할 수 있는 임원급(정보보호최고책임자)으로 지정하여야 한다. ④ 단위센터는 다음 각호의 업무를 원활하게 수행하기 위하여 전담 조직 및 전문인력을 확보하여야 한다. 1. 단위센터의 사이버안전 업무기획 2. 단위센터의 운영규칙 및 제도 수립ㆍ운용 3. 단위센터의 사이버공격 실시간 관제ㆍ분석, 예보ㆍ경보 및 기술지원 4. 단위센터의 취약점 및 침해요인의 대응 방안 관련 정보공유 5. 단위센터 정보통신기반시설의 취약점 분석ㆍ평가, 보호 대책 수립 및 지원 6. 사이버공격으로 인하여 발생한 사고의 조사 및 복구 지원 7. 정보보호ㆍ사이버안전 관련 교육 및 훈련 서비스 제공 8. 보안관제 결과의 작성 및 관리 9. 그 밖에 단위센터장이 필요하다고 판단하는 업무 제11조(단위보안관제센터의 운영현황 보고) ① 단위센터장은 단위센터를 운영하면서 수집한 사이버공격 탐지 결과 및 분석 내용 등 관련 자료를 센터장에게 매월 보고하여야 한다. ② 단위센터장은 관제대상기관 등 단위센터의 운영현황(별지 제5호 서식)에 변경이 발생한 경우, 그 변경사항을 발생일로부터 10일 이내에 센터장에게 제출하여야 한다. ③ 단위센터장은 단위센터 관제대상기관을 추가하고자 할 때는 센터장과 사전에 협의하여야 한다. 제12조(단위보안관제센터의 실태점검) ① 센터는 단위센터에 대하여 실태점검을 시행하여야 한다. ② 단위센터는 센터가 제1항에 따라 지적한 권고사항에 대하여 성실하게 필요한 조처를 하여야 하며, 센터장은 필요한 경우 단위센터장에게 시정 등 필요한 조치를 요구할 수 있고, 요구받은 단위센터장은 특별한 사유가 없는 한 이에 따라야 한다. 제4장 관제대상기관 제13조(가입 및 탈퇴) ① 「국가사이버안전관리규정」 제4조 및 제9조에 따라 각 기관은 정보보호 및 사이버안전을 위하여 센터에 가입하여야 한다. 다만, 단위센터를 구축ㆍ운영하거나 단위센터에 가입한 경우는 센터에 가입한 것으로 본다. ② 제1항 이외 기관은 센터에 가입하려는 경우 가입신청서(별지 제1호 서식)를 제출하여 센터장의 승인을 받아야 한다. ③ 관제대상기관이 센터를 탈퇴하고자 할 경우 탈퇴신청서(별지 제2호 서식)를 제출하여 센터장의 승인을 받아야 한다. 제14조(권리와 의무) ① 관제대상기관은 센터 가입과 동시에 관제대상기관으로서의 권리와 의무를 갖는다. ② 관제대상기관은 센터로부터 제6조제2항제2호에서 정한 사이버안전서비스를 받을 권리를 갖는다. ③ 관제대상기관의 의무는 다음 각호와 같다. 1. 센터 규정 및 결정 사항 준수 2. 관제대상기관의 업무종사자 비상 연락망 제공 3. 해킹, 바이러스 등 위협상황 발생 내역 및 대응 관련 자료제공 4. 관제 서비스 대상 장비현황, IT 설비현황, 조직 및 인력 현황자료 제공 및 변동 시 통보 5. 각 기관에 설치된 보안관제 시스템이 정상적으로 동작하도록 관리ㆍ운영 6. 관제 서비스 대상 장비 신규 도입 시, 관련 보안관제시스템의 예산도 확보하여 도입하고 서비스를 연계 7. 위협상황 발생 또는 징후 발견 시 센터 조사 협조 제15조(사이버안전 확보) ① 관제대상기관의 장은 소관 정보통신기반시설에 대하여 안전성을 확보할 책임이 있으며, 이를 위하여 사이버안전 업무를 전담하는 조직을 구성하고, 전문인력 및 예산의 확보, 관련 보안(관제)시스템 구축 등 필요한 조치를 강구하여야 한다. ② 사이버공격으로 인한 위협상황 또는 위협 징후 발생 시 센터장은 해당 정보시스템의 사이버안전 확보를 위해 관제대상기관의 장에게 다음 각호의 조치를 할 수 있다. 이 경우 해당 기관의 장은 특별한 사유가 없는 한 지체 없이 이에 따라야 한다. 1. 사고복구 및 피해의 확산 방지에 필요한 조치(피해 시스템 네트워크 연결 해제, 증거자료 보존 등) 요청 2. 사고조사 3. 보안취약점에 대한 조치 및 그 이행 결과 확인 ③ 센터장은 관제대상기관이 사이버안전 확보의 책무를 성실히 이행하지 않는다고 판단될 경우 해당 기관을 탈퇴시킬 수 있다. 탈퇴 기준은 다음 각호와 같다. 1. 제2항의 조치를 성실히 이행하지 않아 해당 정보시스템의 안전 확보가 불가능하다고 판단될 경우 2. 반복적으로 보안관제 조치요구 불이행 및 특별한 사유 없이 지연시키는 경우 3. 제16조제2항의 조치 요구를 특별한 사유 없이 불이행 및 지연시키는 경우 제16조(실태점검) ① 센터는 관제대상기관에 대하여 실태점검 및 현장 지원을 실시하여야 한다. ② 관제대상기관은 센터가 제1항에 따라 지적한 권고사항에 대하여 성실하게 필요한 조치를 취하여야 하며, 센터장은 필요한 경우 해당 기관의 장에게 시정 등 필요한 조치를 요구할 수 있다. ③ 센터는 관제대상기관의 요청이 있는 경우 정보보호활동 등에 대한 점검을 지원할 수 있다. 제5장 사이버공격 대응 제17조(공동대응) 센터장, 단위센터장, 관제대상기관은 위협상황이 발생하여 조사가 필요한 경우에는 피해확산 방지를 위하여 공동으로 대응하여야 한다. 제18조(공격탐지) ① 센터는 보안관제 업무수행을 위하여 관제대상기관의 정보통신망에 사이버공격 정보를 수집하는 장치를 설치ㆍ운용하여 관련 정보를 수집하여야 한다. ② 공격탐지 경로는 다음 각호와 같다. 1. 센터 보안관제를 통한 공격 탐지 2. 국가사이버안보센터 및 타 기관으로부터의 통보 3. 관제대상기관에서 자체 발견 4. 언론 등 외부 수집 제19조(초동조치 및 보고) ① 관제대상기관은 제18조 제2항 각 호의 경로로 사이버공격을 인지하면 즉시 피해 유무를 파악하고 공격IP차단, 로그자료 보존 및 피해시스템을 정보통신망에서 분리하는 등 피해를 최소화하도록 초동 조치를 신속하게 취하여야 한다. ② 관제대상기관은 사고원인이 규명될 때까지 증거는 원본 상태로 보존하여야 하며 임의로 훼손해서는 아니 된다. ③ 관제대상기관은 별지 제3호 서식에 따라 초동조치 결과를 센터에 바로 보고하여야 한다. 제20조(조사 및 복구) ① 센터는 사이버공격의 원인 분석을 위한 조사를 실시할 수 있다. 다만, 경미한 위협상황이라고 판단될 때는 관제대상기관이 자체적으로 조사하게 할 수 있으며, 이 경우 관제대상기관은 사고개요 및 조치내용 등 관련 사항을 센터에 보고하여야 한다. ② 사이버공격으로 인한 피해가 심각하다고 판단될 때는 국가사이버안보센터, 관제대상기관 등과 협의하여 합동조사 및 복구지원팀을 구성ㆍ운영할 수 있다. ③ 센터는 관제대상기관에 사고복구 및 피해확산 방지에 필요한 조치를 요청할 수 있으며, 이 경우 요청받은 기관은 이에 적극적으로 응하여야 한다. 제21조(경보 발령) ① 센터는 사이버공격에 대한 체계적인 대응 및 대비를 위하여 사이버공격의 파급영향, 피해규모 등을 고려하여 관심ㆍ주의ㆍ경계ㆍ심각 등 수준별 경보를 발령할 수 있다. ② 국가사이버안보센터에서 사이버 경보가 발령되었을 때는 센터는 이를 단위센터 및 관제대상기관에 신속히 전파하여야 한다. ③ 제1항 및 제2항의 규정에 의하여 경보를 발령하였을 경우 단위센터 및 관제대상기관에서는 이에 대한 적절한 조치를 하여야 한다. 제6장 비밀유지 제22조(비밀유지) ① 센터에서 근무하는 자 또는 근무하였던 자는 업무상 알게 된 정보 및 자료 등을 센터 운영 용도 이외 다른 목적으로 사용하거나 누설하여서는 아니 된다. 다만 다음 각 호의 경우에는 센터의 승인을 거쳐 공개ㆍ사용할 수 있다. 1. 해당 관제대상기관 등의 동의가 있는 경우 2. 통계 및 학술 기타목적 등으로 특정기관 및 특정인이 나타나지 않도록 가공하여 사용할 경우 3. 관련 법령 및 지침 등에서 정한 규정에 따라 적법한 절차를 거쳐 정보를 제공하는 경우 ② 관제대상기관은 센터 가입을 통해 알게 된 각종 정보 및 자료 등을 센터의 허가 없이 사용하거나 누설하여서는 아니 되며, 탈퇴 이후에도 동일하게 적용된다. 다만 해당 기관 관련 정보 또는 공개가 가능한 자료의 활용에 대해서는 그러하지 아니하다. ③ 제1항 및 제2항 규정과 관련하여 센터 및 관제대상기관 업무 담당자는 비밀유지서약서(별지 제4호서식)를 제출하여야 한다.